المصادقة

يتعامل HyoNova مع نوعين من المستدعين. الأشخاص يستخدمون تطبيق الويب في المتصفح ويصادقون بجلسة. والأنظمة — أي خوادمك — تستخدم واجهة Mail البرمجية بمفتاح API. تشرح هذه الصفحة الحالتين.

الأعضاء: تسجيل الدخول#

يسجّل الأعضاء الدخول من https://app.hyonova.com/sign-in باستخدام بريد العمل وكلمة المرور. وتُنشأ الشركات الجديدة من https://app.hyonova.com/sign-up. ومن يتلقى دعوة ينضم منها، إمّا بضبط كلمة مرور أو بتسجيل الدخول إلى حساب لديه أصلاً.

• تحتاج كلمة المرور إلى 8 أحرف على الأقل، ولا تُخزَّن إلا كقيمة مجزّأة مملّحة بخوارزمية scrypt.
• حد معدل تسجيل الدخول أشد من بقية المنتج.
• عنوان البريد غير المعروف يمر بفحص كلمة المرور نفسه الذي يمر به العنوان الحقيقي، فلا يكشف زمن الاستجابة أي الحسابات موجودة.
• يرسل نسيت كلمة المرور؟ في صفحة تسجيل الدخول رابط إعادة تعيين بالبريد، يعمل مرة واحدة ولمدة 30 دقيقة.
• يدير كل عضو طرق تسجيل دخوله ويغيّر كلمة مروره من الإعدادات ضمن تسجيل الدخول والأمان.

جلسات المتصفح#

ينشئ تسجيل الدخول الناجح جلسة على الخادم ويضع ملف تعريف ارتباط للجلسة في المتصفح.

الحماية من CSRF#

كل طلب من المتصفح يغيّر البيانات — أي طلب غير GET وHEAD وOPTIONS — يجب أن يحمل رمزاً لمنع التزوير خاصاً بالجلسة الحالية في الترويسة X-CSRF-Token. يتلقى تطبيق الويب هذا الرمز مع الجلسة ويرسله تلقائياً. والطلب الذي لا يحمل الرمز المطابق يُرفض بالحالة 403 ورمز الخطأ CSRF_DENIED.

ومع ملفات تعريف الارتباط SameSite=Strict يعني ذلك أن موقعاً آخر لا يستطيع إجراء تغييرات في HyoNova نيابةً عنك، حتى وأنت مسجّل الدخول.

الضيوف: روابط محدودة النطاق#

ليس للضيوف حسابات أعضاء ولا يحصلون على جلسة شركة. ويعمل رابط الضيف كبيانات اعتماد محدودة النطاق والمدة:

• يمنح الدخول إلى عالم مكتب واحد — أو إلى الاجتماعات فقط — بالقدرات التي اختارها المضيف للرابط تحديداً. ويستنتج الخادم هذه القدرات من الرابط مع كل طلب.
• تنتهي صلاحيته في الوقت المختار عند إنشائه. وبعض الروابط تحتاج إلى موافقة المضيف قبل أن يدخل الضيف.
• يقدّمه متصفح الضيف صراحةً مع كل طلب ضيف، ولا يُرسل أبداً كملف تعريف ارتباط تلقائي.
• إلغاء الرابط، أو إنهاء الزيارة، أو إيقاف وصول الضيوف في الشركة، يُنهي الزيارة.

راجع روابط الضيوف.

روابط الدعوات#

يتيح رابط الدعوة لشخص واحد الانضمام إلى شركتك كعضو. يُعرض مرة واحدة عند إنشائه، وتنتهي صلاحيته بعد 7 أيام، ويمكن إلغاؤه أو استبداله برابط جديد. راجع الدعوات.

الأنظمة: مفاتيح API لواجهة Mail البرمجية#

تستدعي خوادمك واجهة Mail البرمجية بـ مفتاح API، لا بجلسة متصفح.

• يُنشئ مدير البريد المفاتيح من البريد › الأتمتة › مفاتيح API. لكل مفتاح اسم وصلاحية واحدة أو أكثر، مثل mail.transactional.send وmail.events.read.
• يُعرض السر مرة واحدة. تبدأ المفاتيح بـ hnm_، ولا يخزّن HyoNova من كل مفتاح إلا قيمته المجزّأة.
• أرسل المفتاح في الترويسة Authorization: Authorization: Bearer YOUR_API_KEY. ولا حاجة إلى ملفات تعريف ارتباط أو رموز CSRF.
• يوقف إلغاء المفتاح فوراً. والمفتاح الملغى أو غير المعروف يتلقى 401 مع API_KEY_INVALID؛ والمفتاح الذي لا يملك الصلاحية المطلوبة يتلقى 403 مع FORBIDDEN.
• أبقِ المفاتيح على خوادمك. لا تضع مفتاحاً أبداً في صفحة ويب أو تطبيق جوال.

تعمل Webhooks في الاتجاه المعاكس: يوقّع HyoNova كل طلب إلى نقطة النهاية لديك بسر خاص بكل نقطة نهاية. راجع Webhooks.

القادم#